CN113973045A - 一种报文传输方法及装置 - Google Patents

Abstract

本申请公开了一种报文传输方法及装置，其中，所述方法应用于云侧的运营商边缘路由器，包括：通过与虚拟网关之间的第一隧道接收并解析第一转发报文，得到第一隧道的标识和原始报文；根据第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据第二隧道的预设协议对原始报文和第二隧道的标识进行封装得到第二转发报文；通过第二隧道将第二转发报文转发给用户侧的运营商边缘路由器，以通过用户侧的运营商边缘路由器根据第二隧道的标识将原始报文发送给目标用户侧设备，其中，第二隧道的标识用于确定目标用户侧设备的租户标识。这样，可以实现云侧网络到用户侧网络的流量基于承载网转发场景下的租户路由与数据的隔离。

Description

一种报文传输方法及装置

技术领域

本申请实施例涉及但不限于网络技术领域，尤其涉及一种报文传输方法及装置。

背景技术

在多租户场景下，为了保证租户数据的安全性，需要对租户进行隔离，使租户内部的虚拟机可以相互通信，而租户之间的虚拟机相互隔离，即租户隔离。在相关技术中，仅将虚拟扩展局域网(Virtual Extensible Local Area Network，VXLAN)到虚拟局域网(Virtual Local Area Network，VLAN)的映射技术应用于多租户场景下的租户隔离，而并没有对虚拟网络与底层物理承载网之间的流量转发进行租户隔离。

发明内容

有鉴于此，本申请提供一种报文传输方法及装置，可以实现云侧网络到用户侧网络的流量基于承载网转发场景下的租户之间路由与数据的隔离，保障租户业务的机密性。

本申请的技术方案是这样实现的：

一方面，本申请提供一种报文传输方法，应用于云侧的运营商边缘路由器，所述方法包括：

通过与虚拟网关之间的第一隧道接收第一转发报文，对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；

根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；

通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器，以通过所述用户侧的运营商边缘路由器根据所述第二隧道的标识将所述原始报文发送给目标用户侧设备，其中，所述第二隧道的标识用于确定目标用户侧设备的租户标识。

又一方面，本申请实施例提供一种报文传输方法，应用于虚拟网关，所述方法包括：

通过与云内虚拟转发设备之间的第三隧道接收第三转发报文，并对所述第三转发报文进行解析，得到所述第三隧道的标识和原始报文；其中，所述第三隧道的标识由云内虚拟转发设备根据所述云内虚拟转发设备的租户标识确定；

根据所述第三隧道的标识确定与云侧的运营商边缘路由器之间的第一隧道的标识，并根据所述第一隧道的预设协议对所述原始报文和所述第一隧道的标识进行封装，得到第一转发报文；

通过所述第一隧道将所述第一转发报文转发至所述云侧的运营商边缘路由器，以通过所述云侧的运营商边缘路由器根据所述第一隧道的标识将所述原始报文发送给用户侧的运营商边缘路由器；其中，所述第一隧道的标识用于确定所述云侧的运营商边缘路由器与用户侧的运营商边缘路由器之间的第二隧道的标识。

再一方面，本申请实施例提供一种报文传输方法，应用于云内虚拟转发设备，所述方法包括：

接收虚拟机通过虚拟私有云内的交换机转发的原始报文；

根据所述虚拟机的租户标识确定与虚拟网关之间的第三隧道的标识，并根据所述第三隧道的预设协议对所述原始报文和所述第三隧道的标识进行封装，得到第三转发报文；

通过所述第三隧道将所述第三转发报文转发至所述虚拟网关，以通过所述虚拟网关根据所述第三隧道的标识将所述原始报文发送给云侧的运营商边缘路由器；其中，所述第三隧道的标识用于确定所述虚拟网关与云侧的运营商边缘路由器之间的第一隧道的标识。

再一方面，本申请实施例提供一种报文传输方法，应用于用户侧的运营商边缘路由器，所述方法包括：

通过与云侧的运营商边缘路由器之间的第二隧道接收第二转发报文，并对所述第二转发报文进行解析，得到原始报文和所述第二隧道的标识；其中，第二隧道的标识由云侧的运营商边缘路由器根据所述云侧的运营商边缘路由器与虚拟网关之间的第一隧道的标识确定；

根据所述第二隧道的标识确定目标用户边缘路由器的租户标识，并根据所述租户标识将所述原始报文转发至所述目标用户边缘路由器，以通过所述目标用户边缘路由器将所述原始报文转发至目标用户侧设备。

再一方面，本申请实施例提供一种报文传输装置，所述装置包括：

第一接收模块，用于：通过与虚拟网关之间的第一隧道接收第一转发报文，对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；

第一确定模块，用于：根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；

第一转发模块，用于：通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器，以通过所述用户侧的运营商边缘路由器根据所述第二隧道的标识将所述原始报文发送给目标用户侧设备，其中，所述第二隧道的标识用于确定目标用户侧设备的租户标识。

在一些实施例中，所述第一隧道为VLAN隧道；所述第二隧道为MPLS-L3VPN隧道；所述第一隧道的标识为VLAN ID；所述第二隧道的标识为RT:RD。

在一些实施例中，所述虚拟网关和所述第一运营商边缘路由器之间接有防火墙；对应地，所述第一隧道为VXLAN隧道，所述第一隧道的标识为VNI；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；所述第一运营商边缘路由器，还用于通过所述VXLAN隧道，接收所述虚拟网关经由所述防火墙发送的所述第一转发报文。

再一方面，本申请实施例提供一种报文传输装置，所述装置包括：

第二接收模块，用于：通过与云内虚拟转发设备之间的第三隧道接收第三转发报文，并对所述第三转发报文进行解析，得到所述第三隧道的标识和原始报文；其中，所述第三隧道的标识由云内虚拟转发设备根据所述云内虚拟转发设备的租户标识确定；

第二确定模块，用于：根据所述第三隧道的标识确定与云侧的运营商边缘路由器之间的第一隧道的标识，并根据所述第一隧道的预设协议对所述原始报文和所述第一隧道的标识进行封装，得到第一转发报文；

第二转发模块，用于：通过所述第一隧道将所述第一转发报文转发至所述云侧的运营商边缘路由器，以通过所述云侧的运营商边缘路由器根据所述第一隧道的标识将所述原始报文发送给用户侧的运营商边缘路由器；其中，所述第一隧道的标识用于确定所述云侧的运营商边缘路由器与用户侧的运营商边缘路由器之间的第二隧道的标识。

在一些实施例中，所述第一隧道为VLAN隧道，所述第一隧道的标识为VLAN ID；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；所述第三隧道为VXLAN隧道，所述第三隧道的标识为用于标识所述VXLAN隧道的VNI。

在一些实施例中，所述虚拟网关和所述第一运营商边缘路由器之间接有防火墙；对应地，所述第一隧道为VXLAN隧道，所述第一隧道的标识为对应的VXLAN隧道的VNI；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；所述第三隧道为VXLAN隧道，所述第三隧道的标识为对应的VXLAN隧道的VNI；所述第一运营商边缘路由器，还用于通过所述VXLAN隧道，接收所述虚拟网关经由所述防火墙发送的所述第一转发报文；所述虚拟网关，还用于通过所述第一隧道，将所述第一转发报文经由所述防火墙转发至所述第一运营商边缘路由器。

再一方面，本申请实施例提供一种报文传输装置，所述装置包括：

第三接收模块，用于接收虚拟机通过虚拟私有云内的交换机转发的原始报文；

第三确定模块，用于：根据所述虚拟机的租户标识确定与虚拟网关之间的第三隧道的标识，并根据所述第三隧道的预设协议对所述原始报文和所述第三隧道的标识进行封装，得到第三转发报文；

第三转发模块，用于：通过所述第三隧道将所述第三转发报文转发至所述虚拟网关，以通过所述虚拟网关根据所述第三隧道的标识将所述原始报文发送给云侧的运营商边缘路由器；其中，所述第三隧道的标识用于确定所述虚拟网关与云侧的运营商边缘路由器之间的第一隧道的标识。

再一方面，本申请实施例提供一种报文传输装置，所述装置包括：

第四接收模块，用于：通过与云侧的运营商边缘路由器之间的第二隧道接收第二转发报文，并对所述第二转发报文进行解析，得到原始报文和所述第二隧道的标识；其中，第二隧道的标识由云侧的运营商边缘路由器根据所述云侧的运营商边缘路由器与虚拟网关之间的第一隧道的标识确定；

第四确定模块，用于根据所述第二隧道的标识确定目标用户边缘路由器的租户标识；

第四转发模块，用于根据所述租户标识将所述原始报文转发至所述目标用户边缘路由器，以通过所述目标用户边缘路由器将所述原始报文转发至目标用户侧设备。

本申请中，通过将虚拟网关到云侧的运营商边缘路由器的转发隧道的标识，与云侧的运营商边缘路由器到用户侧的运营商边缘路由器的转发隧道的标识关联起来，并根据云侧的运营商边缘路由器到用户侧的运营商边缘路由器的转发隧道的标识识别租户，如此，可以实现云侧网络到用户侧网络的流量基于承载网转发场景下的租户之间路由与数据的隔离，保障租户业务的机密性。

进一步地，还可以将虚拟网关到云侧的运营商边缘路由器的转发隧道的标识，与云侧的运营商边缘路由器到用户侧的运营商边缘路由器的转发隧道的标识之间的映射关系，以及云侧的运营商边缘路由器到用户侧的运营商边缘路由器的转发隧道的标识与租户标识之间的映射关系储存在编排器中，方便统一编排管理。

此外，第一隧道可以为VLAN隧道，第二隧道可以为MPLS-L3VPN隧道，第一隧道的标识可以为VLAN ID，第二隧道的标识可以为RT:RD，由于RT:RD可以区分不同租户下的重叠地址，这样，可以在实现租户隔离的同时解决城域网VLAN资源不够的问题及交换机MAC资源不足的问题。进而，第一隧道还可以采用VXLAN隧道，第一隧道的标识还可以采用VNI，从而可以在虚拟网关和云侧的运营商边缘路由器之间接有防火墙时，实现租户隔离的同时解决城域网VLAN资源不够的问题及交换机MAC资源不足的问题。

附图说明

图1为本申请实施例提供的一种报文传输方法的实现流程示意图；

图2为本申请实施例提供的一种报文传输方法的实现流程示意图；

图3为本申请实施例提供的一种报文传输方法的实现流程示意图；

图4为本申请实施例提供的一种报文传输方法的实现流程示意图；

图5为本申请实施例提供的一种报文传输方法的实现流程示意图；

图6为本申请实施例提供的一种报文传输方法的实现流程示意图；

图7A为本申请实施例提供的一种网络系统的组成结构示意图；

图7B为本申请实施例提供的一种网络系统的组成结构示意图；

图8A为本申请实施例提供的一种网络系统的组成结构示意图；

图8B为本申请实施例提供的一种网络系统的组成结构示意图；

图9A为本申请实施例提供的一种网络系统的组成结构示意图；

图9B为本申请实施例提供的一种网络系统的组成结构示意图；

图9C为本申请实施例提供的一种网络系统的组成结构示意图；

图10为本申请实施例提供的一种报文传输装置的组成结构示意图；

图11为本申请实施例提供的一种报文传输装置的组成结构示意图；

图12为本申请实施例提供的一种报文传输装置的组成结构示意图；

图13为本申请实施例提供的一种报文传输装置的组成结构示意图。

具体实施方式

为了使本申请的目的、技术方案和优点更加清楚，下面结合附图和实施例对本申请的技术方案进一步详细阐述，所描述的实施例不应视为对本申请的限制，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本申请保护的范围。

在以下的描述中，涉及到“一些实施例”，其描述了所有可能实施例的子集，但是可以理解，“一些实施例”可以是所有可能实施例的相同子集或不同子集，并且可以在不冲突的情况下相互结合。

如果申请文件中出现“第一/第二”的类似描述则增加以下的说明，在以下的描述中，所涉及的术语“第一\第二\第三”仅仅是区别类似的对象，不代表针对对象的特定排序，可以理解地，“第一\第二\第三”在允许的情况下可以互换特定的顺序或先后次序，以使这里描述的本申请实施例能够以除了在这里图示或描述的以外的顺序实施。

除非另有定义，本文所使用的所有的技术和科学术语与属于本申请的技术领域的技术人员通常理解的含义相同。本文中所使用的术语只是为了描述本申请的目的，不是旨在限制本申请。

为了更好地理解本申请提供的报文传输方法，首先对相关技术中通信网络映射的技术方案进行说明。

相关技术中，通信网络映射技术主要着眼于：1)在SDN网络技术中，将不同服务器之间或不同数据中心之间的东西向流量映射技术应用于划分不同的业务域，实现不同业务的隔离，以解决多租户场景下城域网VLAN资源不够的问题以及在城域网虚拟化场景下大量终端导致的交换机媒体访问控制(Media Access Control，MAC)地址资源不足的问题；2)将VXLAN到VLAN的映射技术应用于虚拟网络中多租户场景下的租户隔离；3)通过将虚拟网络标识符与隧道标识符储存在交换机中，以实现虚拟网络的流量映射。

对于上述相关技术中的技术方案，主要存在以下缺点：1)仅将通信网络映射技术用于隔离不同业务，解决城域网VLAN资源不够的问题及交换机MAC资源不足的问题，没有将通信网络流量映射技术应用于租户隔离；2)仅将VXLAN到VLAN的映射技术应用于虚拟网络中多租户场景下的租户隔离，没有对虚拟网络到基于多协议标签交换(Multi-ProtocolLabel Switching，MPLS)的底层物理承载网之间的流量转发进行租户隔离；3)仅将虚拟网络标识符与隧道标识符储存在交换机中，不方便统一管理。

在上述相关技术中映射方法的基础之上，本申请实施例提供一种报文传输方法，应用于云侧的运营商边缘路由器，图1为本申请实施例提供的一种报文传输方法的实现流程图，如图1所示，所述方法包括：

步骤S101，云侧的运营商边缘路由器通过与虚拟网关之间的第一隧道接收第一转发报文，对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；

这里，虚拟网关和云侧的运营商边缘路由器均为不同租户公用的网络设备。云侧的运营商边缘路由器可以用于连接云侧网络与承载网。在实施时，云侧的运营商边缘路由器可以为底层承载网中连接云侧网络的运营商边缘路由器。

第一隧道为所述云侧的运营商边缘路由器与所述虚拟网关之间建立的网络隧道。在实施时，第一隧道可以利用任意合适的网络隧道协议来实现，本领域技术人员可以根据实际情况自行选择，本申请实施例对此并不限定。

步骤S102，所述云侧的运营商边缘路由器根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；

这里，用户侧的运营商边缘路由器也为不同租户公用的网络设备。第二隧道为所述云侧的运营商边缘路由器与所述用户侧的运营商边缘路由器之间建立的网络隧道。第二隧道的预设协议可以为任意合适的网络隧道协议。在实施时，预设协议可以在隧道建立时由通信双方预先协商确定。

第一隧道的标识和第二隧道的标识之间存在特定的对应关系，在实施时，可以利用该对应关系，根据第一隧道的标识确定第二隧道的标识。

在一些实施例中，所述云侧的运营商边缘路由器根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，可以包括：所述云侧的运营商边缘路由器通过查询特定的第一映射关系，得到所述第一隧道的标识对应的所述第二隧道的标识；其中，所述第一映射关系用于表征第一隧道的标识与第二隧道的标识之间的对应关系。

这里，第一映射关系可以存储在云侧的运营商边缘路由器本地，在需要的时候云侧的运营商边缘路由器从本地读取该第一映射关系；第一映射关系也可以存储在特定的云端或管理服务器中，云侧的运营商边缘路由器可以在需要的时候向云端或管理服务器请求第一映射关系，或者云端或管理服务器可以向云侧的运营商边缘路由器下发第一映射关系。

在一些实施例中，第一映射关系可以存储在编排器中，在所述云侧的运营商边缘路由器查询特定的第一映射关系之前，所述云侧的运营商边缘路由器从所述编排器获取所述第一映射关系，或者所述编排器将所述第一映射关系下发至所述云侧的运营商边缘路由器。

步骤S103，所述云侧的运营商边缘路由器通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器，以通过所述用户侧的运营商边缘路由器根据所述第二隧道的标识将所述原始报文发送给目标用户侧设备，其中，所述第二隧道的标识用于确定目标用户侧设备的租户标识。

这里，第二隧道的标识可以用来识别原始报文所属的租户，从而确定目标侧设备的租户标识。在一些实施例中，第二隧道的标识和租户标识之间存在特定的对应关系，在实施时，可以利用该对应关系，根据第二隧道的标识确定租户标识。

用户侧的运营商边缘路由器可以用于连接用户侧网络与承载网。在实施时，用户侧的运营商边缘路由器可以为底层承载网中连接用户侧网络的运营商边缘路由器。

在一些实施例中，所述第一隧道可以为VLAN隧道，所述第二隧道可以为基于多协议标签交换的三层虚拟专用网络(Multi-Protocol Label Switching Virtual PrivateNetwork，MPLS-L3VPN)隧道；对应地，所述第一隧道的标识可以为虚拟局域网标识(VirtualLocal Area Network Identity，VLAN ID)，所述第二隧道的标识可以为路由标记：路由区分器(Route-Target:Route Distinguishers，RT:RD)。

这里，路由标记(route-target，RT)可以用于在云侧的运营商边缘路由器侧区分不同租户，为每个租户建一个VPN实例，转发到用户侧的运营商边缘路由器后通过路由区分器(route distinguishers，RD)选择下一步要流向的用户边缘路由器，以解决不同租户的地址重叠问题。

在一些实施例中，所述虚拟网关和所述云侧的运营商边缘路由器之间接有防火墙，对应地，所述第一隧道为VXLAN隧道，所述第一隧道的标识为VNI；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；上述步骤S101中，所述通过与虚拟网关之间的第一隧道接收第一转发报文，包括：通过所述VXLAN隧道，接收所述虚拟网关经由所述防火墙发送的所述第一转发报文。

本申请实施例提供的报文传输方法，通过将虚拟网关到云侧的运营商边缘路由器的转发隧道的标识，与云侧的运营商边缘路由器到用户侧的运营商边缘路由器的转发隧道的标识关联起来，并根据云侧的运营商边缘路由器到用户侧的运营商边缘路由器的转发隧道的标识识别租户，从而实现云侧网络到用户侧网络的流量基于承载网转发场景下的租户之间路由与数据的隔离，保障租户业务的机密性。此外，还可以将虚拟网关到云侧的运营商边缘路由器的转发隧道的标识，与云侧的运营商边缘路由器到用户侧的运营商边缘路由器的转发隧道的标识之间的映射关系储存在编排器中，方便统一编排管理。

进一步地，第一隧道可以为VLAN隧道，第二隧道可以为MPLS-L3VPN隧道，第一隧道的标识可以为VLAN ID，第二隧道的标识可以为RT:RD，由于RT:RD可以区分不同租户下的重叠地址，这样，可以在实现租户隔离的同时解决城域网VLAN资源不够的问题及交换机MAC资源不足的问题。此外，第一隧道还可以采用VXLAN隧道，第一隧道的标识还可以采用VNI，从而可以在虚拟网关和云侧的运营商边缘路由器之间接有防火墙时，实现租户隔离的同时解决城域网VLAN资源不够的问题及交换机MAC资源不足的问题。

本申请实施例提供一种报文传输方法，应用于虚拟网关，如图2所示，所述方法包括：

步骤S201，虚拟网关通过与云内虚拟转发设备之间的第三隧道接收第三转发报文，并对所述第三转发报文进行解析，得到所述第三隧道的标识和原始报文；其中，所述第三隧道的标识由云内虚拟转发设备根据所述云内虚拟转发设备的租户标识确定；

这里，所述云内虚拟转发设备为租户隔离的。在实施时，云内虚拟转发设备可以是云内虚拟路由器，也可以是云内虚拟交换机。每个租户可以在云内订购一个或多个云内虚拟转发设备，不同租户的云内虚拟转发设备之间是租户隔离的，用户可以将虚拟机接入云内虚拟转发设备，实现虚拟机的租户隔离。虚拟网关为云内公用的网关，是云内所有租户公用的，一个云内通常配置一台虚拟网关，云内虚拟转发设备可以接入到虚拟网关上。

第三隧道为所述虚拟网关与所述云内虚拟转发设备之间建立的网络隧道。在实施时，第三隧道可以利用任意合适的网络隧道协议来实现，本领域技术人员可以根据实际情况自行选择，本申请实施例对此并不限定。

步骤S202，所述虚拟网关根据所述第三隧道的标识确定与云侧的运营商边缘路由器之间的第一隧道的标识，并根据所述第一隧道的预设协议对所述原始报文和所述第一隧道的标识进行封装，得到第一转发报文；

这里，第一隧道的标识和第三隧道的标识之间存在特定的对应关系，在实施时，可以利用该对应关系，根据第三隧道的标识确定第一隧道的标识。

在一些实施例中，所述虚拟网关根据所述第三隧道的标识确定与云侧的运营商边缘路由器之间的第一隧道的标识，可以包括：所述虚拟网关通过查询特定的第三映射关系，得到所述第三隧道的标识对应的所述第一隧道的标识；其中，所述第三映射关系用于表征第三隧道的标识与第一隧道的标识之间的对应关系。

这里，第三映射关系可以存储在虚拟网关本地，在需要的时候虚拟网关从本地读取该第三映射关系；第三映射关系也可以存储在特定的云端或管理服务器中，虚拟网关可以在需要的时候向云端或管理服务器请求第三映射关系，或者云端或管理服务器向虚拟网关下发第三映射关系。

在一些实施例中，第三映射关系可以存储在编排器中，在所述虚拟网关查询特定的第三映射关系之前，所述虚拟网关从所述编排器获取所述第三映射关系，或者所述编排器将所述第三映射关系下发至所述虚拟网关。

步骤S203，所述虚拟网关通过所述第一隧道将所述第一转发报文转发至所述云侧的运营商边缘路由器，以通过所述云侧的运营商边缘路由器根据所述第一隧道的标识将所述原始报文发送给用户侧的运营商边缘路由器；其中，所述第一隧道的标识用于确定所述云侧的运营商边缘路由器与用户侧的运营商边缘路由器之间的第二隧道的标识。

这里，第一隧道的标识和第二隧道的标识之间存在特定的对应关系，在实施时，可以利用该对应关系，根据第一隧道的标识确定第二隧道的标识。

在一些实施例中，该方法还可以包括：

步骤S204，云侧的运营商边缘路由器通过与虚拟网关之间的第一隧道接收第一转发报文，对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；

步骤S205，所述云侧的运营商边缘路由器根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；

步骤S206，所述云侧的运营商边缘路由器通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器，以通过所述用户侧的运营商边缘路由器根据所述第二隧道的标识将所述原始报文发送给所述租户的用户侧设备。

这里，步骤S204至S206对应于前述步骤S101至S103，在实施时可以参照步骤S101至S103的具体实施方式，在此不再赘述。

在一些实施例中，所述第一隧道可以为VLAN隧道，所述第一隧道的标识可以为VLAN ID；所述第二隧道可以为MPLS-L3VPN隧道，所述第二隧道的标识可以为RT:RD；所述第三隧道可以为VXLAN隧道，所述第三隧道的标识可以为用于标识所述VXLAN隧道的VXLAN标识(VXLAN Network Identifier，VNI)。对应地，在一些实施例中，上述步骤S202可以包括：所述虚拟网关将所述VLAN隧道的标识VLAN ID封装在所述第一转发报文的以太网包头中，用于识别不同租户。

在一些实施例中，所述虚拟网关和所述云侧的运营商边缘路由器之间接有防火墙；对应地，所述第一隧道为VXLAN隧道，所述第一隧道的标识为对应的VXLAN隧道的VNI；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；所述第三隧道为VXLAN隧道，所述第三隧道的标识为对应的VXLAN隧道的VNI；所述虚拟网关通过所述第一隧道将所述第一转发报文转发至所述云侧的运营商边缘路由器，包括：所述虚拟网关通过所述第一隧道，将所述第一转发报文经由所述防火墙转发至所述云侧的运营商边缘路由器。对应地，在一些实施例中，上述步骤S202可以包括：所述虚拟网关将作为第一隧道的VXLAN隧道的VNI封装在VXLAN报文头部，用于识别不同租户。

本申请实施例提供的报文传输方法，通过将云内虚拟转发设备到虚拟网关的转发隧道的标识，与虚拟网关到云侧的运营商边缘路由器的转发隧道的标识关联起来。这样，虚拟网关可以根据云内虚拟转发设备到虚拟网关的转发隧道的标识确定虚拟网关到云侧的运营商边缘路由器的转发隧道的标识，从而实现云内虚拟转发设备通过虚拟网关到云侧的运营商边缘路由器之间的流量的租户隔离，进而实现云侧网络到用户侧网络的流量基于承载网转发场景下的租户之间路由与数据的隔离，保障租户业务的机密性。此外，还可以将云内虚拟转发设备到虚拟网关的转发隧道的标识，与虚拟网关到云侧的运营商边缘路由器的转发隧道的标识之间的映射关系储存在编排器中，方便统一编排管理。

进一步地，第一隧道可以为VLAN隧道，第二隧道可以为MPLS-L3VPN隧道，第一隧道的标识可以为VLAN ID，第二隧道的标识可以为RT:RD，第三隧道可以为VXLAN隧道，第三隧道的标识可以为标识该VXLAN隧道的VNI，由于RT:RD可以区分不同租户下的重叠地址，这样，可以在实现租户隔离的同时解决城域网VLAN资源不够的问题及交换机MAC资源不足的问题。此外，第一隧道还可以采用VXLAN隧道，第一隧道的标识可以采用标识该VXLAN隧道的VNI，从而可以在虚拟网关和云侧的运营商边缘路由器之间接有防火墙时，实现租户隔离的同时解决城域网VLAN资源不够的问题及交换机MAC资源不足的问题。

本申请实施例提供一种报文传输方法，应用于云内虚拟转发设备如图3所示，所述方法包括：

步骤S301，云内虚拟转发设备接收虚拟机通过虚拟私有云内的交换机转发的原始报文；其中，所述虚拟机和所述云内虚拟转发设备具有相同的租户标识；

这里，所述原始报文从虚拟机发出，所述原始报文的源IP地址为所述虚拟机的IP地址，所述原始报文的目的IP地址为用户侧设备的IP地址。所述原始报文可以经由虚拟私有云内的交换机转发至云内虚拟转发设备。在实施时，进行通信的所述虚拟机和所述云内虚拟转发设备是归属于同一租户的，具有相同的租户标识。

步骤S302，所述云内虚拟转发设备根据所述租户标识确定与虚拟网关之间的第三隧道的标识，并根据所述第三隧道的预设协议对所述原始报文和所述第三隧道的标识进行封装，得到第三转发报文；

这里，租户标识和第三隧道的标识之间存在特定的对应关系，在实施时，可以利用该对应关系，根据租户的标识确定对应的第三隧道的标识。

在一些实施例中，所述云内虚拟转发设备根据所述租户标识确定所述第三隧道的标识，包括：所述云内虚拟转发设备通过查询特定的第二映射关系，得到所述租户标识对应的所述第三隧道的标识；其中，所述第二映射关系用于表征租户标识与第三隧道的标识之间的对应关系。

这里，第二映射关系可以存储在云内虚拟转发设备本地，在需要的时候云内虚拟转发设备从本地读取该第二映射关系；第二映射关系也可以存储在特定的云端或管理服务器中，云内虚拟转发设备可以在需要的时候向云端或管理服务器请求第二映射关系，或者云端或管理服务器向云内虚拟转发设备下发第二映射关系。

在一些实施例中，第二映射关系可以存储在编排器中，在所述云内虚拟转发设备查询特定的第三映射关系之前，所述云内虚拟转发设备从所述编排器获取所述第二映射关系，或者所述编排器将所述第二映射关系下发至所述云内虚拟转发设备。

步骤S303，所述云内虚拟转发设备通过所述第三隧道将所述第三转发报文转发至所述虚拟网关，以通过所述虚拟网关根据所述第三隧道的标识将所述原始报文发送给云侧的运营商边缘路由器；其中，所述第三隧道的标识用于确定所述虚拟网关与云侧的运营商边缘路由器之间的第一隧道的标识。

这里，第一隧道的标识和第三隧道的标识之间存在特定的对应关系，在实施时，可以利用该对应关系，根据第三隧道的标识确定第一隧道的标识。

在一些实施例中，该方法还可以包括：

步骤S304，虚拟网关通过与云内虚拟转发设备之间的第三隧道接收第三转发报文，并对所述第三转发报文进行解析，得到所述第三隧道的标识和原始报文；

步骤S305，所述虚拟网关根据所述第三隧道的标识确定第一隧道的标识，并根据所述第一隧道的预设协议对所述原始报文和所述第一隧道的标识进行封装，得到所述第一转发报文；

步骤S306，所述虚拟网关通过所述第一隧道将所述第一转发报文转发至所述云侧的运营商边缘路由器，以通过所述云侧的运营商边缘路由器根据所述第一隧道的标识将所述原始报文发送给用户侧的运营商边缘路由器；其中，所述第一隧道的标识用于确定所述云侧的运营商边缘路由器与用户侧的运营商边缘路由器之间的第二隧道的标识；

步骤S307，云侧的运营商边缘路由器通过与虚拟网关之间的第一隧道接收第一转发报文，对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；

步骤S308，所述第一运营商边缘路由器根据所述第一隧道的标识确定与第二运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；

步骤S309，所述云侧的运营商边缘路由器通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器，以通过所述用户侧的运营商边缘路由器根据所述第二隧道的标识将所述原始报文发送给所述租户的用户侧设备。

这里，步骤S304至S309对应于前述步骤S201至S206，在实施时可以参照步骤S201至S206的具体实施方式，在此不再赘述。

在一些实施例中，可以利用编排器存储所述第一映射关系、所述第二映射关系和所述第三映射关系。对应地，在所述云侧的运营商边缘路由器查询特定的第一映射关系之前，所述云侧的运营商边缘路由器从所述编排器获取所述第一映射关系；在所述云内虚拟转发设备通过查询特定的第二映射关系之前，所述云内虚拟转发设备从所述编排器获取所述第二映射关系；在所述虚拟网关通过查询特定的第三映射关系之前，所述虚拟网关从所述编排器获取所述第三映射关系。

在一些实施例中，所述第一映射关系、所述第二映射关系和所述第三映射关系可以通过一张映射关系表来表征。在实施时，可以利用所述映射关系表来表征第一隧道的标识、第二隧道的标识、第三隧道的标识与租户的标识之间的关联关系。在一些实施例中，所述映射关系表中还可以包括其他可以识别租户的信息。

在一些实施例中，所述第一隧道可以为VLAN隧道，所述第一隧道的标识可以为VLAN ID；所述第二隧道可以为MPLS-L3VPN隧道，所述第二隧道的标识可以为RT:RD；所述第三隧道可以为VXLAN隧道，所述第三隧道的标识可以为用于标识所述VXLAN隧道的VXLAN标识(VXLAN Network Identifier，VNI)。对应地，在一些实施例中，上述步骤S202可以包括：云内虚拟转发设备可以在原报文前添加VXLAN头部，用VXLAN头部中的VNI来区分不同租户，云内虚拟转发设备在VXLAN头部前添加外层IP封装、外层以太封装，并根据外层封装的地址信息继续转发，其中，所述外层IP封装的源IP地址为进行VXLAN封装的云内虚拟转发设备的地址，所述外层IP封装的目的IP地址为虚拟网关的地址。

本申请实施例提供的报文传输方法中，云内虚拟转发设备通过虚拟机通过虚拟私有云内的交换机将租户的原始报文转发至与虚拟机归属于同一租户的云内虚拟转发设备，由于租户标识与云内虚拟转发设备到虚拟网关的转发隧道的标识之间存在关联关系，云内虚拟转发设备可以根据租户的标识确定到虚拟网关的转发隧道的标识，从而实现虚拟机到虚拟网关之间的流量的租户隔离，进而实现云侧网络到用户侧网络的流量基于承载网转发场景下的租户之间路由与数据的隔离，保障租户业务的机密性。此外，还可以将租户的标识和云内虚拟转发设备到虚拟网关的转发隧道的标识之间的映射关系储存在编排器中，方便统一编排管理。

本申请实施例提供一种报文传输方法，应用于用户侧的运营商边缘路由器，如图4所示，所述方法包括：

步骤S401，用户侧的运营商边缘路由器通过与云侧的运营商边缘路由器之间的第二隧道接收第二转发报文，并对所述第二转发报文进行解析，得到原始报文和所述第二隧道的标识；其中，第二隧道的标识由云侧的运营商边缘路由器根据所述云侧的运营商边缘路由器与虚拟网关之间的第一隧道的标识确定；

这里，所述第二隧道的标识可以用来识别原始报文所属的租户。在一些实施例中，所述第二隧道的标识可以包括用于表征所述原始报文所属租户的第一标识符和用于表征所述原始报文的目标用户边缘设备的第二标识符，这样，所述第二隧道的标识可以区分不同租户，并能解决不同租户的地址重叠问题。

步骤S402，所述用户侧的运营商边缘路由器根据所述第二隧道的标识确定目标用户边缘路由器的租户标识，并根据所述租户标识将所述原始报文转发至所述目标用户边缘路由器，以通过所述目标用户边缘路由器将所述原始报文转发至目标用户侧设备。

这里，目标用户边缘路由器可以根据所述原始报文的目的IP地址，将所述原始报文转发至目标用户侧设备。

在一些实施例中，在上述步骤S401之前，该方法还包括：

步骤S403，位于虚拟机与目标用户侧设备之间的云侧的运营商边缘路由器，通过与虚拟网关之间的第一隧道接收第一转发报文，对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；

步骤S404，所述云侧的运营商边缘路由器根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；

步骤S405，所述云侧的运营商边缘路由器通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器，以通过所述用户侧的运营商边缘路由器根据所述第二隧道的标识将所述原始报文发送给目标用户侧设备，其中，所述第二隧道的标识用于确定目标用户侧设备的租户标识。

这里，步骤S403至S405对应于前述步骤S101至S103，在实施时可以参照步骤S101至S103的具体实施方式，在此不再赘述。

本申请实施例提供的报文传输方法，云侧的运营商边缘路由器可以通过云侧的运营商边缘路由器到用户侧的运营商边缘路由器的转发隧道的标识，识别原始报文所属的租户，确定目标用户边缘路由器的租户标识。这样，可以实现云侧的运营商边缘路由器到用户侧的边缘路由器及用户侧设备之间的流量的租户隔离，进而实现云侧网络到用户侧网络的流量基于承载网转发场景下的租户之间路由与数据的隔离，保障租户业务的机密性。

本申请实施例提供一种报文传输方法，如图5所示，所述方法应用于虚拟网关与云侧的运营商边缘路由器直连的场景，包括：

步骤S501，原始报文从虚拟机发出，源IP地址为虚拟机的IP地址，目的IP为用户侧设备的IP地址，经由虚拟私有云内的交换机转发至云内开源虚拟交换机或云内虚拟路由器；

步骤S502，云内开源虚拟交换机或云内虚拟路由器在原始报文前添加VXLAN头部，用VXLAN头部中的VNI来区分不同租户，云内开源虚拟交换机或云内虚拟路由器在VXLAN头部前添加外层IP封装(源IP地址为进行VXLAN封装的云内开源虚拟交换机或云内虚拟路由器的地址，目的IP地址为虚拟网关的地址)、外层以太封装，并根据外层封装的地址信息继续转发封装后的报文；

步骤S503，封装后的报文转发至虚拟网关后，虚拟网关解除外层封装，并将内层IP报文通过VLAN转发至云侧的运营商边缘路由器，虚拟网关与云侧运营商边缘路由器间通过以太网帧中的VLAN ID来识别不同租户；

步骤S504，云侧的运营商边缘路由器和物理网内的运营商边缘路由器之间为MPLS-L3VPN网络；其中，云侧的运营商边缘路由器在报文中添加RT:RD以区分不同租户，解决不同租户的地址重叠问题；这里，物理网内的运营商边缘路由器为用户侧的运营商边缘路由器。

步骤S505，物理网内的运营商边缘路由器收到报文后根据RT值识别不同租户，并将报文转发给用户边缘设备，用户边缘设备根据报文的目的IP地址将报文转发至用户侧设备；

在一些实施例中，可以利用编排器储存云内开源虚拟交换机或云内虚拟路由器到虚拟网关的VXLAN信息与虚拟网关到云侧的运营商边缘路由器的VLAN信息。在实施时，可以包括：将云内开源虚拟交换机或云内虚拟路由器到虚拟网关的VXLAN报文头部中的VNI、虚拟网关到云侧的运营商边缘路由器之间报文的VLAN ID、云侧的运营商边缘路由器和物理网内的运营商边缘路由器之间的RT:RD与租户ID关联起来，以识别租户信息。

本申请实施例提供的报文传输方法，在多租户场景下，将服务端报文中的标识符映射至转发端和客户端的转发隧道上，以实现不同租户之间路由与数据的隔离，从而解决数据中心内的流量转发至数据中心外的租户一致性及隔离问题，保障租户业务的机密性。此外，通过将VXLAN报文中的VNI、VLAN报文中的VLAN ID、MPLS报文中的RT:RD储存在编排器，可以方便统一编排管理。

本申请实施例提供一种报文传输方法，如图6所示，所述方法应用于虚拟网关与云侧的运营商边缘路由器直连的场景，包括：

步骤S601，原始报文从虚拟机发出，源IP地址为虚拟机的IP地址，目的IP为用户侧设备的IP地址，经由虚拟私有云内的交换机转发至云内开源虚拟交换机或云内虚拟路由器；

步骤S602，云内开源虚拟交换机或云内虚拟路由器在原始报文前添加VXLAN头部，用VXLAN头部中的VNI来区分不同租户，云内开源虚拟交换机或云内虚拟路由器在VXLAN头部前添加外层IP封装(源IP地址为进行VXLAN封装的云内开源虚拟交换机或云内虚拟路由器的地址，目的IP地址为虚拟网关的地址)、外层以太封装，并根据外层封装的地址信息继续转发封装后的报文；

步骤S603，封装后的报文转发至虚拟网关后，虚拟网对原有的VXLAN报文解封装后，将内层IP报文重新进行VXLAN封装，并在VXLAN头部中使用新的VNI来区分不同租户；

步骤S604，重新封装的VXLAN报文经过防火墙，最终到达云侧的运营商边缘路由器；云侧的运营商边缘路由器将重新封装的VXLAN报文解封装，并将内层IP报文通过MPLS-L3VPN转发给物理网内的运营商边缘路由器，云侧的运营商边缘路由器在报文中添加RT:RD以区分不同租户；

步骤S605，物理网内的运营商边缘路由器收到报文后根据RT值识别不同租户，并将报文转发给用户边缘设备，用户边缘设备根据报文的目的IP地址将报文转发至用户侧设备；

在一些实施例中，可以利用编排器储存云内开源虚拟交换机或云内虚拟路由器到虚拟网关的VXLAN信息与虚拟网关到云侧的运营商边缘路由器的VXLAN信息。在实施时，可以包括：将云内开源虚拟交换机或云内虚拟路由器到虚拟网关的VXLAN报文头部中的VNI、虚拟网关到云侧的运营商边缘路由器之间报文的VNI、云侧的运营商边缘路由器和物理网内的运营商边缘路由器之间的RT:RD与租户ID关联起来，以识别租户信息。

本申请实施例提供的报文传输方法，针对当前方案未涉及的应用场景，将东西向流量映射技术应用于多租户场景，通过将服务端报文中的标识符映射至转发端和客户端的转发隧道上，主要解决多租户场景下，数据中心内的流量转发至数据中心外的租户一致性及隔离问题。此外，通过将VXLAN报文中的VNI、VLAN报文中的VLAN ID、MPLS报文中的RT:RD储存在编排器，可以方便统一编排管理。

本申请实施例提供一种网络系统，如图7A所示，所述系统包括：位于虚拟机与目标用户侧设备之间的虚拟网关710、云侧的运营商边缘路由器720和用户侧的运营商边缘路由器730；其中，

所述虚拟网关710，用于通过与所述云侧的运营商边缘路由器720之间的第一隧道向所述云侧的运营商边缘路由器720发送第一转发报文；

所述云侧的运营商边缘路由器720，用于：通过所述第一隧道接收第一转发报文，并对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器；

所述用户侧的运营商边缘路由器730，用于通过所述第二隧道接收第二转发报文，并根据所述第二隧道的标识将所述原始报文发送给目标用户侧设备。

在一些实施例中，所述第一隧道为VLAN隧道，所述第二隧道为MPLS-L3VPN隧道；对应地，所述第一隧道的标识为VLAN ID，所述第二隧道的标识为RT:RD。

在一些实施例中，如图7B所示，所述虚拟网关710和所述云侧的运营商边缘路由器720之间接有防火墙740。对应地，所述第一隧道为VXLAN隧道，所述第一隧道的标识为VNI；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；所述云侧的运营商边缘路由器720，还用于通过所述VXLAN隧道，接收所述虚拟网关710经由所述防火墙740发送的所述第一转发报文。

在一些实施例中，所述网络系统还包括：目标用户边缘路由器；

对应地，所述用户侧的运营商边缘路由器，还用于通过所述第二隧道接收所述第二转发报文，并对所述第二转发报文进行解析，得到所述原始报文和所述第二隧道的标识；根据所述第二隧道的标识确定目标用户边缘路由器，并将所述原始报文转发至所述目标用户边缘路由器；

所述目标用户边缘路由器，用于将所述原始报文转发至目标用户侧设备。

本申请实施例提供一种网络系统，如图8A所示，所述系统包括：位于虚拟机与目标用户侧设备之间的虚拟网关710、云侧的运营商边缘路由器720和用户侧的运营商边缘路由器730、云内虚拟转发设备750；其中，

所述云内虚拟转发设备750，用于通过与所述虚拟网关710之间的第三隧道向所述虚拟网关710发送第三转发报文；

所述虚拟网关710，用于通过所述第三隧道接收第三转发报文，并对所述第三转发报文进行解析，得到所述第三隧道的标识和所述原始报文；根据所述第三隧道的标识确定所述第一隧道的标识，并根据所述第一隧道的预设协议对所述原始报文和所述第一隧道的标识进行封装，得到所述第一转发报文；通过与所述云侧的运营商边缘路由器720之间的第一隧道向所述云侧的运营商边缘路由器720发送第一转发报文；

所述云侧的运营商边缘路由器720，用于：通过所述第一隧道接收第一转发报文，并对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器；

所述用户侧的运营商边缘路由器730，用于通过所述第二隧道接收第二转发报文，并根据所述第二隧道的标识将所述原始报文发送给目标用户侧设备。

在一些实施例中，所述第一隧道为VLAN隧道，所述第一隧道的标识为VLAN ID；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；所述第三隧道为VXLAN隧道，所述第三隧道的标识为用于标识所述VXLAN隧道的VNI。

在一些实施例中，如图8B所示，所述虚拟网关710和所述云侧的运营商边缘路由器720之间接有防火墙740。对应地，所述第一隧道为VXLAN隧道，所述第一隧道的标识为对应的VXLAN隧道的VNI；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；所述第三隧道为VXLAN隧道，所述第三隧道的标识为对应的VXLAN隧道的VNI；所述云侧的运营商边缘路由器720，还用于通过所述VXLAN隧道，接收所述虚拟网关经由所述防火墙发送的所述第一转发报文；所述虚拟网关710，还用于通过所述第一隧道，将所述第一转发报文经由所述防火墙转发至所述云侧的运营商边缘路由器。

在一些实施例中，所述网络系统还包括：目标用户边缘路由器；

对应地，所述用户侧的运营商边缘路由器，还用于通过所述第二隧道接收所述第二转发报文，并对所述第二转发报文进行解析，得到所述原始报文和所述第二隧道的标识；根据所述第二隧道的标识确定目标用户边缘路由器，并将所述原始报文转发至所述目标用户边缘路由器；

所述目标用户边缘路由器，用于将所述原始报文转发至目标用户侧设备。

本申请实施例提供一种网络系统，如图9A所示，所述系统包括：位于虚拟机与目标用户侧设备之间的虚拟网关710、云侧的运营商边缘路由器720和用户侧的运营商边缘路由器730、云内虚拟转发设备750、虚拟机760；其中，

所述虚拟机760，用于通过虚拟私有云内的交换机将所述租户的原始报文转发至所述云内虚拟转发设备750；其中，所述虚拟机760和所述云内虚拟转发设备750具有相同的租户标识；

所述云内虚拟转发设备750，用于根据所述租户的标识确定所述第三隧道的标识，并根据所述第三隧道的预设协议对所述原始报文和所述第三隧道的标识进行封装，得到所述第三转发报文；通过与所述虚拟网关710之间的第三隧道向所述虚拟网关710发送第三转发报文；

所述虚拟网关710，用于通过所述第三隧道接收第三转发报文，并对所述第三转发报文进行解析，得到所述第三隧道的标识和所述原始报文；根据所述第三隧道的标识确定所述第一隧道的标识，并根据所述第一隧道的预设协议对所述原始报文和所述第一隧道的标识进行封装，得到所述第一转发报文；通过与所述云侧的运营商边缘路由器720之间的第一隧道向所述云侧的运营商边缘路由器720发送第一转发报文；

所述云侧的运营商边缘路由器720，用于：通过所述第一隧道接收第一转发报文，并对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器；

所述用户侧的运营商边缘路由器730，用于通过所述第二隧道接收第二转发报文，并根据所述第二隧道的标识将所述原始报文发送给目标用户侧设备。

在一些实施例中，如图9B所示，所述网络系统还包括：目标用户边缘路由器770；

对应地，所述用户侧的运营商边缘路由器730，还用于通过所述第二隧道接收所述第二转发报文，并对所述第二转发报文进行解析，得到所述原始报文和所述第二隧道的标识；根据所述第二隧道的标识确定目标用户边缘路由器770，并将所述原始报文转发至所述目标用户边缘路由器770；

所述目标用户边缘路由器770，用于将所述原始报文转发至目标用户侧设备770。

在一些实施例中，所述第一隧道为VLAN隧道，所述第一隧道的标识为VLAN ID；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；所述第三隧道为VXLAN隧道，所述第三隧道的标识为用于标识所述VXLAN隧道的VNI。

在一些实施例中，如图9C所示，所述虚拟网关710和所述云侧的运营商边缘路由器720之间接有防火墙740。对应地，所述第一隧道为VXLAN隧道，所述第一隧道的标识为对应的VXLAN隧道的VNI；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；所述第三隧道为VXLAN隧道，所述第三隧道的标识为对应的VXLAN隧道的VNI。

本申请实施例提供一种报文传输装置，如图10所示，所述报文传输装置800包括第一接收模块810、第一确定模块820和第一转发模块830，其中：

所述第一接收模块810，用于：通过与虚拟网关之间的第一隧道接收第一转发报文，对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；

所述第一确定模块820，用于：根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；

所述第一转发模块830，用于：通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器，以通过所述用户侧的运营商边缘路由器根据所述第二隧道的标识将所述原始报文发送给目标用户侧设备，其中，所述第二隧道的标识用于确定目标用户侧设备的租户标识。

在一些实施例中，所述第一隧道为VLAN隧道；所述第二隧道为MPLS-L3VPN隧道；对应地，所述第一隧道的标识为VLAN ID；所述第二隧道的标识为RT:RD。

在一些实施例中，所述虚拟网关和所述云侧的运营商边缘路由器之间接有防火墙；对应地，所述第一隧道为VXLAN隧道，所述第一隧道的标识为VNI；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD。对应地，所述通过与虚拟网关之间的第一隧道接收第一转发报文，包括：通过所述VXLAN隧道，接收所述虚拟网关经由所述防火墙发送的所述第一转发报文。

本申请实施例提供一种报文传输装置，如图11所示，所述报文传输装置900包括第二接收模块910、第二确定模块920和第二转发模块930，其中：

所述第二接收模块910，用于：通过与云内虚拟转发设备之间的第三隧道接收第三转发报文，并对所述第三转发报文进行解析，得到所述第三隧道的标识和原始报文；其中，所述第三隧道的标识由云内虚拟转发设备根据所述云内虚拟转发设备的租户标识确定；

所述第二确定模块920，用于：根据所述第三隧道的标识确定与云侧的运营商边缘路由器之间的第一隧道的标识，并根据所述第一隧道的预设协议对所述原始报文和所述第一隧道的标识进行封装，得到第一转发报文；

所述第二转发模块930，用于：通过所述第一隧道将所述第一转发报文转发至所述云侧的运营商边缘路由器，以通过所述云侧的运营商边缘路由器根据所述第一隧道的标识将所述原始报文发送给用户侧的运营商边缘路由器；其中，所述第一隧道的标识用于确定所述云侧的运营商边缘路由器与用户侧的运营商边缘路由器之间的第二隧道的标识。

在一些实施例中，所述第一隧道为VLAN隧道，所述第一隧道的标识为VLAN ID；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；所述第三隧道为VXLAN隧道，所述第三隧道的标识为用于标识所述VXLAN隧道的VNI。

在一些实施例中，所述虚拟网关和所述第一运营商边缘路由器之间接有防火墙；对应地，所述第一隧道为VXLAN隧道，所述第一隧道的标识为对应的VXLAN隧道的VNI；所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；所述第三隧道为VXLAN隧道，所述第三隧道的标识为对应的VXLAN隧道的VNI；所述第一运营商边缘路由器，还用于通过所述VXLAN隧道，接收所述虚拟网关经由所述防火墙发送的所述第一转发报文；所述虚拟网关，还用于通过所述第一隧道，将所述第一转发报文经由所述防火墙转发至所述第一运营商边缘路由器。

本申请实施例提供一种报文传输装置，如图12所示，所述报文传输装置1000包括第三接收模块1010、第三确定模块1020和第三转发模块1030，其中：

所述第三接收模块1010，用于接收虚拟机通过虚拟私有云内的交换机转发的原始报文；

所述第三确定模块1020，用于：根据所述虚拟机的租户标识确定与虚拟网关之间的第三隧道的标识，并根据所述第三隧道的预设协议对所述原始报文和所述第三隧道的标识进行封装，得到第三转发报文；

所述第三转发模块1030，用于：通过所述第三隧道将所述第三转发报文转发至所述虚拟网关，以通过所述虚拟网关根据所述第三隧道的标识将所述原始报文发送给云侧的运营商边缘路由器；其中，所述第三隧道的标识用于确定所述虚拟网关与云侧的运营商边缘路由器之间的第一隧道的标识。

本申请实施例提供一种报文传输装置，如图13所示，所述报文传输装置1100包括第四接收模块1110、第四确定模块1120和第四转发模块1130，其中：

所述第四接收模块1110，用于：通过与云侧的运营商边缘路由器之间的第二隧道接收第二转发报文，并对所述第二转发报文进行解析，得到原始报文和所述第二隧道的标识；其中，第二隧道的标识由云侧的运营商边缘路由器根据所述云侧的运营商边缘路由器与虚拟网关之间的第一隧道的标识确定；

所述第四确定模块1120，用于根据所述第二隧道的标识确定目标用户边缘路由器的租户标识；

所述第四转发模块1130，用于根据所述租户标识将所述原始报文转发至所述目标用户边缘路由器，以通过所述目标用户边缘路由器将所述原始报文转发至目标用户侧设备。

以上网络系统及装置实施例的描述，与上述方法实施例的描述是类似的，具有同方法实施例相似的有益效果。对于本申请网络系统及装置实施例中未披露的技术细节，请参照本申请方法实施例的描述而理解。

需要说明的是，本申请实施例中，如果以软件功能模块的形式实现上述的通信网络映射方法，并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请实施例的技术方案本质上或者说对相关技术做出贡献的部分可以以软件产品的形式体现出来，该软件产品存储在一个存储介质中，包括若干指令用以使得一台网络设备执行本申请各个实施例所述方法的全部或部分。这里，网络设备可以包括但不限于路由设备、交换机设备、网关设备、虚拟路由器、虚拟交换机、虚拟网关设备等中的一种或多种。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read Only Memory，ROM)、磁碟或者光盘等各种可以存储程序代码的介质。这样，本申请实施例不限制于任何特定的硬件和软件结合。

应理解，说明书通篇中提到的“一个实施例”或“一实施例”意味着与实施例有关的特定特征、结构或特性包括在本申请的至少一个实施例中。因此，在整个说明书各处出现的“在一个实施例中”或“在一实施例中”未必一定指相同的实施例。此外，这些特定的特征、结构或特性可以任意适合的方式结合在一个或多个实施例中。应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元；既可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本申请各实施例中的各功能单元可以全部集成在一个处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、只读存储器(Read Only Memory，ROM)、磁碟或者光盘等各种可以存储程序代码的介质。

或者，本申请上述集成的单元如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对相关技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台网络设备执行本申请各个实施例所述方法的全部或部分。这里，网络设备可以包括但不限于路由设备、交换机设备、网关设备、虚拟路由器、虚拟交换机、虚拟网关设备等中的一种或多种。而前述的存储介质包括：移动存储设备、ROM、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (12)

1.一种报文传输方法，其特征在于，应用于云侧的运营商边缘路由器，所述方法包括：

通过与虚拟网关之间的第一隧道接收第一转发报文，对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；

根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；

通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器，以通过所述用户侧的运营商边缘路由器根据所述第二隧道的标识将所述原始报文发送给目标用户侧设备，其中，所述第二隧道的标识用于确定目标用户侧设备的租户标识。

2.根据权利要求1所述的方法，其特征在于，

所述第一隧道为VLAN隧道；所述第二隧道为MPLS-L3VPN隧道；

对应地，所述第一隧道的标识为VLAN ID；所述第二隧道的标识为RT:RD。

3.根据权利要求1所述的方法，其特征在于，所述虚拟网关和所述云侧的运营商边缘路由器之间接有防火墙；

对应地，所述第一隧道为VXLAN隧道，所述第一隧道的标识为VNI；

所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；

所述通过与虚拟网关之间的第一隧道接收第一转发报文，包括：通过所述VXLAN隧道，接收所述虚拟网关经由所述防火墙发送的所述第一转发报文。

4.一种报文传输方法，其特征在于，应用于虚拟网关，所述方法包括：

通过与云内虚拟转发设备之间的第三隧道接收第三转发报文，并对所述第三转发报文进行解析，得到所述第三隧道的标识和原始报文；其中，所述第三隧道的标识由云内虚拟转发设备根据所述云内虚拟转发设备的租户标识确定；

根据所述第三隧道的标识确定与云侧的运营商边缘路由器之间的第一隧道的标识，并根据所述第一隧道的预设协议对所述原始报文和所述第一隧道的标识进行封装，得到第一转发报文；

通过所述第一隧道将所述第一转发报文转发至所述云侧的运营商边缘路由器，以通过所述云侧的运营商边缘路由器根据所述第一隧道的标识将所述原始报文发送给用户侧的运营商边缘路由器；其中，所述第一隧道的标识用于确定所述云侧的运营商边缘路由器与用户侧的运营商边缘路由器之间的第二隧道的标识。

5.根据权利要求4所述的方法，其特征在于，

所述第一隧道为VLAN隧道，所述第一隧道的标识为VLAN ID；

所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；

所述第三隧道为VXLAN隧道，所述第三隧道的标识为用于标识所述VXLAN隧道的VNI。

6.根据权利要求4所述的方法，其特征在于，所述虚拟网关和所述第一运营商边缘路由器之间接有防火墙；

对应地，所述第一隧道为VXLAN隧道，所述第一隧道的标识为对应的VXLAN隧道的VNI；

所述第二隧道为MPLS-L3VPN隧道，所述第二隧道的标识为RT:RD；

所述第三隧道为VXLAN隧道，所述第三隧道的标识为对应的VXLAN隧道的VNI；

所述通过所述第一隧道将所述第一转发报文转发至所述云侧的运营商边缘路由器，包括：通过所述第一隧道，将所述第一转发报文经由所述防火墙转发至所述云侧的运营商边缘路由器。

7.一种报文传输方法，其特征在于，应用于云内虚拟转发设备，所述方法包括：

接收虚拟机通过虚拟私有云内的交换机转发的原始报文；其中，所述虚拟机和所述云内虚拟转发设备具有相同的租户标识；

根据所述租户标识确定与虚拟网关之间的第三隧道的标识，并根据所述第三隧道的预设协议对所述原始报文和所述第三隧道的标识进行封装，得到第三转发报文；

通过所述第三隧道将所述第三转发报文转发至所述虚拟网关，以通过所述虚拟网关根据所述第三隧道的标识将所述原始报文发送给云侧的运营商边缘路由器；其中，所述第三隧道的标识用于确定所述虚拟网关与云侧的运营商边缘路由器之间的第一隧道的标识。

8.一种报文传输方法，其特征在于，应用于用户侧的运营商边缘路由器，所述方法包括：

通过与云侧的运营商边缘路由器之间的第二隧道接收第二转发报文，并对所述第二转发报文进行解析，得到原始报文和所述第二隧道的标识；其中，第二隧道的标识由云侧的运营商边缘路由器根据所述云侧的运营商边缘路由器与虚拟网关之间的第一隧道的标识确定；

根据所述第二隧道的标识确定目标用户边缘路由器的租户标识，并根据所述租户标识将所述原始报文转发至所述目标用户边缘路由器，以通过所述目标用户边缘路由器将所述原始报文转发至目标用户侧设备。

9.一种报文传输装置，其特征在于，所述装置包括：

第一接收模块，用于：通过与虚拟网关之间的第一隧道接收第一转发报文，对所述第一转发报文进行解析，得到所述第一隧道的标识和原始报文；

第一确定模块，用于：根据所述第一隧道的标识确定与用户侧的运营商边缘路由器之间的第二隧道的标识，根据所述第二隧道的预设协议对所述原始报文和所述第二隧道的标识进行封装，得到第二转发报文；

第一转发模块，用于：通过所述第二隧道将所述第二转发报文转发给所述用户侧的运营商边缘路由器，以通过所述用户侧的运营商边缘路由器根据所述第二隧道的标识将所述原始报文发送给目标用户侧设备，其中，所述第二隧道的标识用于确定目标用户侧设备的租户标识。

10.一种报文传输装置，其特征在于，所述装置包括：

第二接收模块，用于：通过与云内虚拟转发设备之间的第三隧道接收第三转发报文，并对所述第三转发报文进行解析，得到所述第三隧道的标识和原始报文；其中，所述第三隧道的标识由云内虚拟转发设备根据所述云内虚拟转发设备的租户标识确定；

第二确定模块，用于：根据所述第三隧道的标识确定与云侧的运营商边缘路由器之间的第一隧道的标识，并根据所述第一隧道的预设协议对所述原始报文和所述第一隧道的标识进行封装，得到第一转发报文；

第二转发模块，用于：通过所述第一隧道将所述第一转发报文转发至所述云侧的运营商边缘路由器，以通过所述云侧的运营商边缘路由器根据所述第一隧道的标识将所述原始报文发送给用户侧的运营商边缘路由器；其中，所述第一隧道的标识用于确定所述云侧的运营商边缘路由器与用户侧的运营商边缘路由器之间的第二隧道的标识。

11.一种报文传输装置，其特征在于，所述装置包括：

第三接收模块，用于接收虚拟机通过虚拟私有云内的交换机转发的原始报文；

第三确定模块，用于：根据所述虚拟机的租户标识确定与虚拟网关之间的第三隧道的标识，并根据所述第三隧道的预设协议对所述原始报文和所述第三隧道的标识进行封装，得到第三转发报文；

第三转发模块，用于：通过所述第三隧道将所述第三转发报文转发至所述虚拟网关，以通过所述虚拟网关根据所述第三隧道的标识将所述原始报文发送给云侧的运营商边缘路由器；其中，所述第三隧道的标识用于确定所述虚拟网关与云侧的运营商边缘路由器之间的第一隧道的标识。

12.一种报文传输装置，其特征在于，所述装置包括：

第四接收模块，用于：通过与云侧的运营商边缘路由器之间的第二隧道接收第二转发报文，并对所述第二转发报文进行解析，得到原始报文和所述第二隧道的标识；其中，第二隧道的标识由云侧的运营商边缘路由器根据所述云侧的运营商边缘路由器与虚拟网关之间的第一隧道的标识确定；

第四确定模块，用于根据所述第二隧道的标识确定目标用户边缘路由器的租户标识；

第四转发模块，用于根据所述租户标识将所述原始报文转发至所述目标用户边缘路由器，以通过所述目标用户边缘路由器将所述原始报文转发至目标用户侧设备。

Images